Was ein VLAN ist und warum es hilft

Ein Switch verbindet viele Geräte zu einem Netzwerk. Manchmal sollen diese Geräte jedoch in getrennte Gruppen aufgeteilt werden, obwohl sie denselben physischen Switch verwenden. Genau das leistet ein VLAN (Virtual Local Area Network): Es teilt einen Switch logisch in mehrere unabhängige Netzwerke auf. In dieser Lektion erfahren Sie, was ein VLAN ist und welche praktischen Vorteile es für Sicherheit, Leistung und Organisation bietet.

Ohne VLANs gehört jeder Port eines Switches derselben Broadcast-Domäne an. Eine Broadcast-Domäne ist die Gruppe von Geräten, die alle eine Broadcast-Nachricht empfangen. Wenn ein Gerät einen Broadcast sendet, hören ihn alle anderen Geräte am Switch. In einem großen, flachen Netzwerk führt das zu ständigem Hintergrundverkehr und zu keiner Trennung zwischen verschiedenen Benutzer- oder Gerätegruppen.

Ein VLAN teilt den Switch in separate Broadcast-Domänen auf. Ports, die VLAN 10 zugewiesen sind, bilden ein Netzwerk; Ports in VLAN 20 bilden ein anderes. Geräte in VLAN 10 können Geräte in VLAN 20 nicht direkt erreichen, obwohl sie am selben Switch angeschlossen sind, sofern kein Router sie verbindet. Jedes VLAN verhält sich wie ein eigener, isolierter Switch innerhalb des physischen Switches.

VLANs verbessern die Sicherheit durch Trennung. Sie können Gäste-WLAN in ein VLAN, Mitarbeitergeräte in ein anderes und Überwachungskameras in ein drittes VLAN einordnen. Ein kompromittiertes Gastgerät kann nicht direkt mit dem Kamera- oder Mitarbeiter-VLAN kommunizieren, da der Datenverkehr getrennt bleibt. Wenn Sie die wenigen Verbindungsstellen zwischen VLANs – normalerweise einen Router oder eine Firewall – kontrollieren, können Sie dort Regeln durchsetzen.

VLANs steigern außerdem die Leistung, indem sie Broadcast-Domänen verkleinern. Broadcasts bleiben innerhalb ihres eigenen VLANs, anstatt den gesamten Switch zu überfluten. Kleinere Broadcast-Domänen bedeuten weniger verschwendete Bandbreite und weniger Verarbeitungsaufwand auf den einzelnen Geräten. In einem stark ausgelasteten Netzwerk reduziert die Aufteilung von Hunderten Geräten auf mehrere VLANs den Broadcast-Datenverkehr spürbar und sorgt für eine bessere Reaktionsfähigkeit.

Mit VLANs können Sie Geräte nach ihrer Rolle statt nach ihrem Standort gruppieren. Mitarbeiter aus der Finanzabteilung können dasselbe VLAN verwenden, unabhängig davon, ob sie im ersten oder dritten Stock sitzen, denn die VLAN-Zugehörigkeit richtet sich nach der Portzuweisung und nicht nach der Verkabelung. Diese logische Gruppierung macht Richtlinien, Benennung und Fehlerbehebung übersichtlicher, da jedes VLAN einer sinnvollen Gruppe wie Sales, Voice oder Server zugeordnet ist.

Jedes VLAN besitzt eine numerische VLAN ID von 1 bis 4094. VLAN 1 ist die Standardeinstellung, der zunächst alle Ports angehören. Administratoren weisen andere IDs zu, um neue VLANs zu erstellen, häufig nach einem übersichtlichen Schema wie VLAN 10 für Mitarbeiter, 20 für Gäste und 30 für Voice. Anhand der ID halten Switches den Datenverkehr jedes VLANs gekennzeichnet und vom restlichen Datenverkehr getrennt.

Um ein Gerät in ein VLAN aufzunehmen, weist der Administrator seinen Switch-Port dieser VLAN ID zu. Das folgende Beispiel zeigt das Prinzip auf einem typischen Managed Switch. Danach gehört alles, was an diesem Port angeschlossen wird, zu VLAN 10. Wird das Kabel an einen Port in VLAN 20 angeschlossen, tritt das Gerät stattdessen VLAN 20 bei – eine neue Verkabelung des Gebäudes ist nicht erforderlich.

Wenn VLANs isoliert sind, wie können sie bei Bedarf miteinander kommunizieren? Über einen Router oder einen Layer-3-Switch, der zwischen ihnen routet; dies wird auch als Inter-VLAN-Routing bezeichnet. Der Router fungiert als kontrolliertes Gateway zwischen den VLANs, und dort können Sie Zugriffsregeln anwenden. So bleiben VLANs standardmäßig getrennt, können unter Ihrer Kontrolle aber gezielt Datenverkehr austauschen.

Ein häufiges Beispiel aus der Praxis ist ein Voice-VLAN. IP-Telefone werden in ein eigenes VLAN aufgenommen, sodass ihr Datenverkehr von normalen Computerdaten getrennt ist. Das erleichtert die Priorisierung von Gesprächen und sorgt für eine hohe Sprachqualität. Viele Telefone verfügen über einen integrierten Switch-Port für einen PC. Dadurch kann das Telefon sein eigenes Voice-VLAN taggen und gleichzeitig die Computerdaten über ein separates VLAN über dasselbe Kabel weiterleiten.

VLANs verwandeln einen einzelnen physischen Switch in viele logische Netzwerke. Sie bieten Sicherheit durch Isolation, Leistung durch kleinere Broadcast-Domänen und Organisation durch die Gruppierung von Geräten nach ihrer Rolle. Jedes VLAN besitzt eine ID, Ports werden VLANs zugewiesen, und bei Bedarf verbindet ein Router die VLANs. Diese Flexibilität ist der Grund, warum VLANs in nahezu jedem Unternehmensnetzwerk vorkommen und ein wichtiger Bestandteil der Network+-Prüfung sind.

Testen Sie Ihr Verständnis von VLANs.

Ein VLAN teilt einen physischen Switch logisch in separate Netzwerke auf, die jeweils eine eigene Broadcast-Domäne bilden. VLANs verbessern die Sicherheit durch Isolation, die Leistung durch die Begrenzung von Broadcasts und die Organisation durch die Gruppierung von Geräten nach ihrer Rolle. Jedes VLAN besitzt eine numerische VLAN ID (1 bis 4094, Standardwert 1), und Ports werden VLANs zugewiesen. Geräte in unterschiedlichen VLANs benötigen einen Router zur Kommunikation. Voice-VLANs trennen den Telefonverkehr und verbessern dadurch die Gesprächsqualität.